16 เคล็ดลับความปลอดภัยของ WordPress เพื่อให้เว็บไซต์ของคุณปลอดภัย (2023)

คุณต้องการรายการเคล็ดลับการรักษาความปลอดภัยของ WordPress ที่จะปกป้องไซต์ของคุณจากอันตรายทั่วไปที่เป็นที่รู้จักของ WordPress หรือไม่

ในโพสต์นี้ คุณจะพบเคล็ดลับความปลอดภัยขั้นพื้นฐานและขั้นสูงกว่าสิบข้อที่คุณสามารถนำมาใช้เพื่อรักษาเว็บไซต์ของคุณให้ปลอดภัยจากช่องโหว่และการแฮ็ก

นี่คือเคล็ดลับความปลอดภัยของ WordPress ที่เราจะกล่าวถึงในโพสต์นี้:

1. เลือกโฮสต์ WordPress ที่มีคุณภาพ
2. จัดการคอร์ ธีม และปลั๊กอินของ WordPress
3. ติดตั้งปลั๊กอินความปลอดภัย WordPress
4. ติดตั้งปลั๊กอินสำรอง
5. เลือกธีมและปลั๊กอินของบุคคลที่สามอย่างระมัดระวัง
6. รู้เกี่ยวกับบทบาทของผู้ใช้ WordPress และการอนุญาต
7. ใช้โปรโตคอลการป้องกันบนหน้าเข้าสู่ระบบแบ็กเอนด์ของเว็บไซต์ของคุณ
8. ใช้ชื่อผู้ใช้และรหัสผ่านที่ปลอดภัย
9. เปิดใช้งานใบรับรอง SSL สำหรับเว็บไซต์ของคุณ
10. ปิดการใช้งานการแก้ไขไฟล์
11. ปิดการใช้งานการดำเนินการ PHP
12. เปลี่ยนคำนำหน้าฐานข้อมูล WordPress
13. รักษาความปลอดภัยไฟล์ wp-config.php ของคุณ
14. เปลี่ยนชื่อหน้าเข้าสู่ระบบ WordPress
15. ปิดการใช้งานการเรียกดูไดเรกทอรี
16. ออกจากระบบผู้ใช้ที่ไม่ได้ใช้งาน

เราได้จัดเป็นสองรายการแยกกัน: เคล็ดลับการรักษาความปลอดภัยขั้นพื้นฐาน และเคล็ดลับการรักษาความปลอดภัยขั้นสูง

เริ่มจากด้านบนด้วยเคล็ดลับความปลอดภัยขั้นพื้นฐาน

เคล็ดลับความปลอดภัย WordPress ขั้นพื้นฐานสำหรับผู้ใช้ทุกคน

1. เลือกโฮสต์ WordPress ที่มีคุณภาพ

ทุกอย่างเริ่มต้นที่นี่

หากคุณไม่เลือกโฮสต์ WordPress ที่มีคุณภาพและมีชื่อเสียง ไซต์ของคุณจะเสี่ยงต่อการถูกโจมตีไม่ว่าคุณจะใช้การรักษาความปลอดภัยภายใน WordPress มากเพียงใด

แม้ว่าเว็บไซต์ของคุณจะประกอบด้วยโค้ด แต่ก็มีโค้ดดังกล่าวอยู่ภายในไฟล์ ซึ่งเป็นไฟล์ที่ต้องติดตั้งบนเว็บเซิร์ฟเวอร์

อย่างน้อยที่สุด ให้เลือกโฮสต์ที่มีชื่อเสียงในด้านการดูแลเซิร์ฟเวอร์ที่รวดเร็วและปลอดภัย คอยดูแลเทคโนโลยีเซิร์ฟเวอร์ให้ทันสมัยอยู่เสมอ และให้สิทธิ์ในการเข้าถึง PHP เวอร์ชันล่าสุด

เราใช้ Cloudways เพื่อโฮสต์ตัวช่วยสร้างบล็อก มันรวดเร็วและราคาไม่แพง ความสามารถในการปรับขนาดก็เป็นปัจจัยสำคัญเช่นกันเนื่องจากเราได้รับการเข้าชมจำนวนมาก

พวกเขามีคุณสมบัติด้านความปลอดภัยดังต่อไปนี้:

• โปรแกรมเสริม Cloudflare Enterprise ที่ใช้การป้องกัน DDoS และไฟร์วอลล์แอปพลิเคชันเว็บ (WAF)
• ไฟร์วอลล์เซิร์ฟเวอร์
• ความปลอดภัยในการเข้าสู่ระบบ
• ความปลอดภัยของฐานข้อมูล
• การป้องกันบอท
• ใบรับรอง SSL ฟรี
• การจัดการบทบาทของผู้ใช้
• การจัดการระบบปฏิบัติการที่ปลอดภัย
• การรับรองความถูกต้องด้วยสองปัจจัย

อย่างไรก็ตาม ในส่วนของความปลอดภัยของ WordPress คุณอาจใช้โฮสต์ WordPress ที่มีการจัดการได้ดีกว่า โดยเฉพาะอย่างยิ่งหากคุณไม่ใช่ผู้ใช้ WordPress ขั้นสูง

จัดการโฮสติ้ง WordPress

โฮสติ้ง WordPress ภายใต้การจัดการเป็นรูปแบบหนึ่งของโฮสติ้ง WordPress ซึ่งโฮสต์ของคุณจัดการหลายๆ ด้านในการดูแลรักษาเว็บไซต์ WordPress ให้กับคุณ

โดยทั่วไปจะรวมถึงแง่มุมต่างๆ ของการรักษาความปลอดภัย WordPress

นี่คือตัวอย่างการใช้โฮสต์ WordPress ที่ได้รับการจัดการที่แนะนำมากที่สุด WPX Hosting ผู้ให้บริการโฮสติ้งรายนี้มีคุณสมบัติด้านความปลอดภัยดังต่อไปนี้:

• การกำจัดมัลแวร์รวมอยู่ในแผนทั้งหมด
• การแก้ไขไซต์หากไซต์ของคุณออฟไลน์
• การป้องกันดีดอส
• การสำรองข้อมูลอัตโนมัติพร้อมพื้นที่เก็บข้อมูลสำหรับการสำรองข้อมูลสูงสุด 28 วัน
• CDN ที่เป็นกรรมสิทธิ์พร้อมตำแหน่ง Edge 35 แห่ง
• ใบรับรอง SSL ฟรี
• พื้นที่จัดเตรียมสำหรับทดสอบการอัปเดตก่อนที่คุณจะเผยแพร่
• การรับรองความถูกต้องด้วยสองปัจจัย
• การรักษาความปลอดภัยบัญชีขั้นสูงที่ช่วยให้คุณสามารถจำกัดการเข้าถึงบัญชี WPX Hosting ของคุณในระดับฮาร์ดแวร์

2. จัดการคอร์ ธีม และปลั๊กอินของ WordPress อย่างเหมาะสม

อย่างที่เราบอกไปแล้ว เว็บไซต์ WordPress ของคุณประกอบด้วยไฟล์และโค้ด ซึ่งรวมถึงธีม WordPress และปลั๊กอิน WordPress รวมถึง WordPress เองซึ่งเรียกว่า “แกน WordPress”

เช่นเดียวกับแอปพลิเคชันคอมพิวเตอร์และโทรศัพท์ที่คุณใช้ ไฟล์ WordPress จะได้รับการอัปเดตเป็นประจำเพื่อใช้คุณสมบัติใหม่และการแก้ไขด้านความปลอดภัย

นี่คือสาเหตุว่าทำไมคุณจึงจำเป็นต้องปรับปรุง WordPress เอง รวมถึงธีมและปลั๊กอินของคุณให้ทันสมัยอยู่เสมอ การไม่ทำเช่นนั้นอาจส่งผลให้เว็บไซต์ของคุณเผชิญกับข้อบกพร่องด้านความปลอดภัยที่ร้ายแรง

คุณควรลองใช้ WordPress เวอร์ชันล่าสุดบนไซต์ของคุณเสมอ

โชคดีที่ WordPress ใช้การอัปเดตความปลอดภัยฉุกเฉินโดยอัตโนมัติอยู่แล้ว และคุณสามารถตั้งค่าการอัปเดต WordPress อัตโนมัติทั่วทั้งกระดานได้เช่นกัน

อย่างไรก็ตาม เป็นการดีที่สุดที่จะทำการอัปเดต WordPress ส่วนใหญ่ด้วยตนเองผ่านพื้นที่จัดเตรียม (เช่นที่ WPX Hosting ช่วยให้คุณสร้างได้) เพื่อให้คุณสามารถทดสอบการเปลี่ยนแปลงที่การอัปเดตเหล่านั้นทำกับไซต์ของคุณในสภาพแวดล้อมที่มีการควบคุมก่อนที่คุณจะพุชไปยังเวอร์ชันที่ใช้งานจริงของ เว็บไซต์ของคุณ

โดยรวมแล้ว ให้จัดสรรเวลาทุกสัปดาห์เพื่อตรวจสอบ ทดสอบ และใช้การอัปเดต WordPress กับเว็บไซต์ของคุณเพื่อให้ปลอดภัยที่สุดเท่าที่จะเป็นไปได้

นอกจากนี้ อย่าลืมลบธีมและปลั๊กอินที่คุณไม่ได้ใช้อีกต่อไปแล้ว

การเปิดใช้งานการอัปเดตอัตโนมัติสำหรับธีมและปลั๊กอิน

คุณสามารถเปิดใช้งานการอัปเดต WordPress อัตโนมัติสำหรับธีมและปลั๊กอินได้โดยไม่ต้องใช้ปลั๊กอินภายใน WordPress

สำหรับธีม ให้ไปที่ลักษณะที่ปรากฏ → ธีม คลิกที่ธีม แล้วคลิกปุ่มเปิดใช้งานการอัปเดตอัตโนมัติ

การเปิดใช้งานการอัปเดตอัตโนมัติสำหรับปลั๊กอินจะทำงานในลักษณะเดียวกัน

ไปที่ปลั๊กอิน → ปลั๊กอินที่ติดตั้ง แล้วคลิกปุ่มเปิดใช้งานการอัปเดตอัตโนมัติสำหรับปลั๊กอินใด ๆ ที่คุณต้องการเปิดใช้งานการอัปเดตอัตโนมัติ

คุณยังสามารถใช้ตัวเลือกจำนวนมากเพื่อเปิดใช้งานการอัปเดตอัตโนมัติสำหรับปลั๊กอินทั้งหมดในคราวเดียว

3. ติดตั้งปลั๊กอินความปลอดภัย WordPress โดยเฉพาะ

หากคุณไม่ได้โฮสต์เว็บไซต์ WordPress ของคุณด้วยโฮสต์ WordPress ที่มีการจัดการ ทางออกที่ดีที่สุดของคุณคือใช้ปลั๊กอินรักษาความปลอดภัย WordPress โดยเฉพาะ

เราขอแนะนำปลั๊กอินความปลอดภัย WordPress MalCare หรือ Sucuri

MalCare ใช้คุณสมบัติต่อไปนี้ในไซต์ WordPress ของคุณ:

• เครื่องสแกนมัลแวร์
• การกำจัดมัลแวร์
• ไฟร์วอลล์แบบกำหนดเองที่สร้างขึ้นสำหรับ WordPress
• การป้องกันการเข้าสู่ระบบ
• การตรวจสอบสถานะการออนไลน์
• การสำรองข้อมูลส่วนเพิ่มและการกู้คืนไซต์ในคลิกเดียว
• การป้องกันบอท
• เครื่องสแกนช่องโหว่
• บันทึกกิจกรรมที่ช่วยให้คุณสามารถระบุพฤติกรรมที่น่าสงสัยได้
• การแจ้งเตือนทางอีเมลเกี่ยวกับมัลแวร์และช่องโหว่

Sucuri นำเสนอฟีเจอร์เหล่านี้มากมายเช่นกัน แต่ส่วนใหญ่เป็นที่รู้จักในเรื่องคุณสมบัติการสแกนและกำจัดมัลแวร์ รวมถึงความสามารถในการใช้ไฟร์วอลล์เพื่อปกป้องไซต์ WordPress ของคุณ

MalCare มีราคาไม่แพงกว่า Sucuri และยังมีแผนบริการฟรีที่จำกัดอีกด้วย

4. ติดตั้งปลั๊กอินด้านหลัง WordPress

การสำรองข้อมูลถือเป็นวิธีที่ดีที่สุดวิธีหนึ่งในการรักษาความปลอดภัยเว็บไซต์ของคุณในกรณีที่ประเด็นด้านความปลอดภัยอื่นๆ ล้มเหลว

หากไซต์ของคุณถูกแฮ็กหรือเสียหาย หรือมีการอัปเดตทำให้บางสิ่งเสียหาย คุณสามารถใช้ข้อมูลสำรองเพื่อคืนค่าให้เป็นเวลาที่ทำงานได้ตามปกติ

หากโฮสต์ของคุณไม่มีการสำรองข้อมูลและคุณไม่ได้รับฟีเจอร์นี้จากปลั๊กอินความปลอดภัย คุณควรใช้ปลั๊กอินสำรองข้อมูลเฉพาะอย่างแน่นอน

เราขอแนะนำ WP STAGE

มันเชี่ยวชาญในการจัดเตรียมไซต์ตามชื่อของมัน แต่ก็มีฟีเจอร์การสำรองข้อมูล การโยกย้ายและการโคลน

ปลั๊กอินนี้มีการสำรองข้อมูลอัตโนมัติและช่วยให้คุณสามารถจัดเก็บไว้นอกสถานที่บน Google Drive หรือ Amazon S3

หากคุณต้องการการสำรองข้อมูลเพิ่มเติมและคุณสมบัติหลายอย่างที่ WP STAGING นำเสนอ ให้ลองใช้ BlogVault

โซลูชันทั้งสองช่วยให้คุณสามารถกู้คืนไซต์ของคุณจากข้อมูลสำรองได้

หมายเหตุ: แม้ว่าการเลือกโฮสต์ WordPress ที่มีคุณภาพจะทำให้คุณไม่น่าจะใช้การสำรองข้อมูลของบุคคลที่สาม แต่เรายังคงแนะนำให้ใช้วิธีแก้ไขปัญหาข้อใดข้อหนึ่งข้างต้นเพื่อเป็นการป้องกันไว้ก่อน

5. ระวังธีมและปลั๊กอิน WordPress ของบุคคลที่สาม

เมื่อคุณได้ยินเกี่ยวกับเว็บไซต์ WordPress ถูกแฮ็ก มักเป็นเพราะหนึ่งในสองเหตุผล: แกน WordPress เวอร์ชันล้าสมัยและธีมและปลั๊กอินของบุคคลที่สาม

นี่คือเหตุผลว่าทำไมการติดตามการอัปเดต WordPress จึงเป็นเรื่องสำคัญ ถึงกระนั้น การอัปเดตทั้งหมดในโลกก็ไม่สามารถปกป้องไซต์ของคุณจากธีมหรือปลั๊กอินของบุคคลที่สามที่เป็นอันตรายหรือมีโค้ดไม่ดี

ก่อนที่คุณจะตัดสินใจติดตั้งธีมหรือปลั๊กอินบนเว็บไซต์ของคุณ ให้หาข้อมูลก่อน

ก่อนอื่น ธีมหรือปลั๊กอินได้รับการอัปเดตครั้งล่าสุดเมื่อใด ไม่ใช่สัญญาณที่ดีหากธีมหรือปลั๊กอินไม่ได้รับการอัปเดตเป็นเวลานานกว่าหนึ่งปี

อย่าลืมอ่านบทวิจารณ์ของธีมหรือปลั๊กอินและเธรดการสนับสนุนด้วย สิ่งเหล่านี้จะให้ตัวบ่งชี้ที่ดีกว่าว่าธีมหรือปลั๊กอินได้รับการสนับสนุนดีเพียงใด

อย่าลืมเรียกใช้ธีมหรือชื่อปลั๊กอินผ่านการค้นหาบนโซเชียลมีเดียด้วย โดยเฉพาะบน Twitter, Reddit และ Facebook

ไซต์เหล่านี้อาจมีข้อร้องเรียนที่ไม่ได้ระบุไว้ในธีมหรือหน้าอย่างเป็นทางการของปลั๊กอินบน WordPress.org

6. ตระหนักถึงบทบาทของผู้ใช้ WordPress และการอนุญาตของพวกเขา

ในฐานะเจ้าของเว็บไซต์ WordPress สิ่งสำคัญคือต้องทราบความแตกต่างระหว่างบทบาทของผู้ใช้ WordPress และสิทธิ์อนุญาตที่แต่ละบทบาทมอบให้

ต่อไปนี้เป็นสรุปสิทธิ์ที่แต่ละบทบาทสามารถเข้าถึงได้:

• ผู้ดูแลระบบ (ผู้ดูแลระบบ) – สามารถเข้าถึงทุกพื้นที่ของแดชบอร์ด WordPress และทำการเปลี่ยนแปลงส่วนใดส่วนหนึ่งของเว็บไซต์ตลอดจนผู้ใช้บนไซต์นั้น
• ผู้แก้ไข – มีสิทธิ์เข้าถึงโพสต์และเพจ WordPress และสามารถเพิ่ม เผยแพร่ ลบ และแก้ไขเนื้อหานี้ได้ แม้ว่าพวกเขาจะไม่ได้สร้างขึ้นเองก็ตาม
• ผู้เขียน – สามารถเพิ่ม แก้ไข และเผยแพร่โพสต์ของตนเองได้
• ผู้ร่วมให้ข้อมูล – สามารถเพิ่มและแก้ไขโพสต์ของตนเองได้
• สมาชิก – สามารถแก้ไขโปรไฟล์ผู้ใช้และแสดงความคิดเห็นด้วยระบบแสดงความคิดเห็น WordPress ดั้งเดิม

ดังนั้น หากคุณจ้างบรรณาธิการสำหรับบล็อกของคุณ คุณควรมอบหมายบทบาทบรรณาธิการให้กับพวกเขา แทนที่จะมอบหมายบทบาทผู้ดูแลระบบ

ด้วยวิธีนี้ พวกเขาสามารถจัดการเนื้อหาบนเว็บไซต์ของคุณได้ แต่ไม่สามารถเปลี่ยนแปลงธีม ปลั๊กอิน และการตั้งค่า WordPress ได้

7. ปกป้องหน้าเข้าสู่ระบบ WordPress

หน้าเข้าสู่ระบบ WordPress คือหน้าที่คุณใช้เพื่อเข้าสู่แดชบอร์ด WordPress

โดยทั่วไปคุณสามารถเข้าถึงได้โดยไปที่ yourdomain.com/wp-login.php

มีเทคนิคต่างๆ มากมายที่เราสามารถใช้เพื่อรักษาความปลอดภัยหน้าเข้าสู่ระบบ WordPress

เราจะพูดถึงสองประการในส่วนนี้ แต่มีเทคนิคเพิ่มเติมในส่วนขั้นสูงของบทความนี้

เทคนิคแรกที่เราจะพูดถึงคือเพียงเพิ่มแบบฟอร์ม CAPTCHA ลงในหน้าเข้าสู่ระบบของเว็บไซต์ของคุณ

หากคุณตัดสินใจใช้ปลั๊กอินรักษาความปลอดภัย MalCare ที่เรากล่าวถึงข้างต้น คุณไม่จำเป็นต้องมีปลั๊กอินแยกต่างหากเพื่อเพิ่มฟังก์ชันนี้ลงในเว็บไซต์ของคุณ

ปลั๊กอินนี้ช่วยให้คุณจำกัดความพยายามในการเข้าสู่ระบบโดยแสดง CAPTCHA โดยอัตโนมัติเพื่อให้ผู้เยี่ยมชมแก้ไขหากพวกเขาล้มเหลวในการเข้าสู่ระบบหลังจากพยายามสามครั้ง

หากคุณไม่ได้ใช้ MalCare ให้ใช้ปลั๊กอินเช่น Advanced Google reCAPTCHA แทน

เป็นปลั๊กอินที่เรียบง่ายที่ช่วยให้คุณสามารถเพิ่มแบบฟอร์ม CAPTCHA ลงในแบบฟอร์มเข้าสู่ระบบ แบบฟอร์มลงทะเบียน และอื่นๆ อีกมากมาย

เมื่อคุณเปิดใช้งานปลั๊กอินนี้ คุณและใครก็ตามที่เจอหน้าเข้าสู่ระบบของคุณจะต้องกรอกแบบฟอร์ม CAPTCHA เพื่อเข้าสู่ระบบ

นอกเหนือจากนั้น อีกวิธีง่ายๆ ในการปกป้องหน้าเข้าสู่ระบบ WordPress คือการเปิดใช้งานการตรวจสอบสิทธิ์แบบสองปัจจัย

ใช้ปลั๊กอินเช่น Two Factor Authentication (จากผู้สร้าง UpdraftPlus) เพื่อเพิ่มการตรวจสอบสิทธิ์แบบสองปัจจัยในหน้าเข้าสู่ระบบของคุณ ปลั๊กอินทำงานร่วมกับ Google Authenticator

8. ใช้ข้อมูลรับรองการเข้าสู่ระบบที่ปลอดภัย

แบบฟอร์ม CAPTCHA และเทคนิคการตรวจสอบสิทธิ์แบบสองปัจจัยทำให้ผู้โจมตีเข้าถึงไซต์ของคุณได้ยากขึ้น แต่ก็ไม่ใช่ว่าจะเป็นไปไม่ได้

นี่คือเหตุผลว่าทำไมการใช้ข้อมูลรับรองการเข้าสู่ระบบที่ปลอดภัยจึงมีความสำคัญ มันเพิ่มการรักษาความปลอดภัยอีกชั้นพิเศษให้กับเว็บไซต์ของคุณ

สำหรับผู้เริ่มต้น คุณไม่ควรใช้ "ผู้ดูแลระบบ" เป็นชื่อผู้ใช้หรือชื่อของคุณเอง

รวมส่วนของชื่อของคุณแทน ตัวอย่างเช่น หากคุณชื่อ David Smith และคุณเกิดเมื่อวันที่ 10 ตุลาคม 1980 ให้ใช้ “dasm1080” เป็นชื่อผู้ใช้ของคุณหรือชื่อที่คล้ายกัน

ด้วยวิธีนี้ หากผู้โจมตีพยายามเข้าถึงเว็บไซต์ของคุณ พวกเขาจะต้องค้นหาชื่อผู้ใช้ของคุณก่อน

นี่เป็นเคล็ดลับขั้นสูงเล็กน้อย แต่จริงๆ แล้วคุณสามารถซ่อนชื่อผู้ใช้ WordPress และทำให้ผู้โจมตีค้นหาได้ยากขึ้น ซึ่งเป็นสิ่งที่ดีเพราะบางครั้งชื่อผู้ใช้สามารถพบได้ในซอร์สโค้ดของเพจ

นอกจากนี้ URL ที่ WordPress สร้างขึ้นสำหรับหน้าเก็บถาวรของผู้เขียนมักจะมีชื่อผู้ใช้ของผู้เขียนแต่ละคน

เพื่อต่อสู้กับสิ่งนี้ ให้ไปที่โปรไฟล์ผู้ใช้ของผู้เขียนคนนั้นใน WordPress และกรอกข้อมูลในช่องชื่อ นามสกุล ชื่อเล่น และชื่อที่แสดงเป็นด้วยข้อมูลอื่นที่ไม่ใช่ชื่อผู้ใช้

หากต้องการก้าวไปอีกขั้นหนึ่ง และนี่คือจุดที่เคล็ดลับขั้นสูงเข้ามามีบทบาท ให้เข้าถึงฐานข้อมูลของเว็บไซต์ของคุณผ่าน phpMyAdmin และค้นหาตาราง wp_users บิต “wp” อาจดูแตกต่างออกไปเล็กน้อยหากคุณหรือโฮสต์ของคุณเปลี่ยนคำนำหน้าฐานข้อมูล แต่จะยังคงมีส่วน “_users” แนบอยู่

สิ่งที่คุณต้องการทำคือแก้ไขรายการฐานข้อมูลของผู้ใช้แต่ละคนและเปลี่ยนค่า "user_nicename" เป็นค่าอื่นนอกเหนือจากที่ชื่อผู้ใช้กำหนดไว้

ชื่อผู้ใช้จะทำงานได้ดี อย่าลืมเติมช่องว่างด้วยขีดกลาง เช่น "david-smith"

สำหรับรหัสผ่าน ให้ใช้เครื่องมือสร้างรหัสผ่านเพื่อสร้างรหัสผ่านที่ปลอดภัย และพิจารณาจัดเก็บไว้ในเครื่องมือจัดการรหัสผ่านเพื่อให้เข้าถึงได้ง่าย

9. ตั้งค่า SSL สำหรับเว็บไซต์ของคุณ

SSL หรือ Secure Sockets Layer เป็นโปรโตคอลความปลอดภัยที่เข้ารหัสข้อมูลเมื่อมีการถ่ายโอนระหว่างสองเครือข่าย

โดยทั่วไปจะใช้เพื่อเข้ารหัสข้อมูลการชำระเงินและข้อมูลลูกค้าที่ละเอียดอ่อน

มีสองวิธีในการดูว่าไซต์ถูกเข้ารหัสด้วยใบรับรอง SSL หรือไม่: แม่กุญแจที่แสดงอยู่ในแถบที่อยู่ และการใช้ “https” ของเว็บไซต์แทน “http”

เนื่องจาก SSL เป็นปัจจัยอันดับไม่สูงของ Google เว็บไซต์ทั้งหมดจึงได้รับการสนับสนุนให้ตั้งค่า SSL แม้ว่าเว็บไซต์เหล่านั้นจะไม่เคยวางแผนที่จะรับการชำระเงินก็ตาม

โชคดีที่โฮสต์ส่วนใหญ่เสนอใบรับรอง SSL ฟรีผ่าน Let's Encrypt ในปัจจุบัน ดังนั้นตอนนี้จึงง่ายและราคาถูกกว่าที่เคยในการตั้งค่าทุกอย่าง

ดูฐานความรู้ของโฮสต์ของคุณเพื่อดูว่าต้องทำอย่างไร เนื่องจากแต่ละโฮสต์จะจัดการมันต่างกัน

เคล็ดลับความปลอดภัยของ WordPress สำหรับผู้ใช้ขั้นสูง

10. ปิดการใช้งานการแก้ไขไฟล์

แดชบอร์ด WordPress หรือผู้ดูแลระบบ WordPress สำหรับผู้ดูแลระบบมีโปรแกรมแก้ไขไฟล์สองตัวที่ให้คุณแก้ไขธีมและไฟล์ปลั๊กอินได้

คุณสามารถค้นหาได้โดยไปที่ ลักษณะ → ตัวแก้ไขไฟล์ธีมและปลั๊กอิน → ตัวแก้ไขไฟล์ปลั๊กอิน

การเปลี่ยนแปลงไฟล์เหล่านี้อาจทำให้ไซต์ของคุณเสียหายได้ ที่แย่ไปกว่านั้นคือ หากแฮกเกอร์เข้าถึงบัญชีผู้ดูแลระบบบัญชีใดบัญชีหนึ่งของคุณ พวกเขาจะสามารถใช้โปรแกรมแก้ไขเหล่านี้เพื่อแทรกโค้ดที่เป็นอันตรายลงในไซต์ของคุณได้

ด้วยเหตุนี้จึงแนะนำให้เจ้าของเว็บไซต์ WordPress ปิดการแก้ไขไฟล์โดยสมบูรณ์

สิ่งที่คุณต้องทำคือเพิ่มโค้ดต่อไปนี้ลงในไฟล์ wp-config.php ของคุณ:

 กำหนด('DISALLOW_FILE_EDIT', จริง);

หากโฮสต์ของคุณไม่มีตัวจัดการไฟล์ คุณจะต้องเข้าถึงไฟล์ของไซต์ของคุณผ่าน FTP ดาวน์โหลดไฟล์ wp-config.php แก้ไขด้วยโปรแกรมแก้ไขข้อความธรรมดา บันทึก จากนั้นอัปโหลดใหม่เป็นไฟล์เดิม ตำแหน่งในระบบไฟล์สำหรับการติดตั้ง WordPress ของคุณ

เพียงให้แน่ใจว่าได้เขียนทับต้นฉบับ

นอกจากนี้ ตรวจสอบให้แน่ใจว่าคุณได้สำรองข้อมูลไซต์ของคุณก่อนทำการเปลี่ยนแปลงระบบไฟล์ของคุณ อาจเป็นความคิดที่ดีที่จะดาวน์โหลดสำเนาไฟล์ wp-config.php ของคุณก่อนที่จะใช้การเปลี่ยนแปลง

11. ปิดการใช้งานการดำเนินการ PHP

แฮกเกอร์มักจะสร้างแบ็คดอร์ในระบบไฟล์ของเว็บไซต์ของคุณโดยเรียกใช้ไฟล์ PHP ภายในระบบ

คุณสามารถบล็อกการโจมตีประเภทนี้ได้โดยการปิดใช้งานการดำเนินการไฟล์ PHP ในโฟลเดอร์ที่ไม่ควรมีไฟล์ PHP ใด ๆ เริ่มต้นด้วย เช่น โฟลเดอร์อัพโหลดที่จัดเก็บไฟล์สื่อของคุณ

การบล็อกการดำเนินการ PHP ในโฟลเดอร์ที่ มี PHP อาจทำให้เว็บไซต์ของคุณเสียหายได้ ดังนั้นจึงมักแนะนำให้ปิดการใช้งานการดำเนินการ PHP สำหรับโฟลเดอร์ที่ไม่พบ PHP เพียงเพื่อความปลอดภัย

หากคุณใช้ปลั๊กอินความปลอดภัย MalCare คุณสามารถปิดใช้งานการดำเนินการ PHP ได้โดยป้อนข้อมูลประจำตัว FTP ของเว็บไซต์ของคุณ

ถ้าไม่ คุณจะต้องดำเนินการด้วยตนเองโดยแก้ไขระบบไฟล์ของไซต์ของคุณ

เริ่มต้นด้วยการเปิดโปรแกรมแก้ไขข้อความธรรมดาบนคอมพิวเตอร์ของคุณ และเพิ่มโค้ดต่อไปนี้:

 <ไฟล์ *.php>

ปฏิเสธจากทั้งหมด

</ไฟล์>

จากนั้นให้บันทึกไฟล์นี้และตั้งชื่อเป็น ".htaccess" อย่าลืมใส่จุด “” ก่อน "htaccess"

ตอนนี้ สิ่งที่คุณต้องทำคือเข้าถึงระบบไฟล์ของไซต์ของคุณ และอัปโหลดไฟล์ .htaccess ใหม่ของคุณไปยังโฟลเดอร์อัปโหลด และบันทึกการเปลี่ยนแปลงของคุณ

12. เปลี่ยนคำนำหน้าฐานข้อมูล WordPress

เราเคยพูดไปแล้วหลายครั้ง แต่ไซต์ของคุณประกอบด้วยโค้ดที่จัดเก็บไว้ในไฟล์

สิ่งที่เราไม่ได้กล่าวถึงคือเว็บไซต์ของคุณประกอบด้วยตารางฐานข้อมูลอย่างไร เช่นเดียวกับโค้ดหรือไฟล์ การลบหรือการเปลี่ยนแปลงตารางเหล่านี้สามารถสร้างความเสียหายให้กับเว็บไซต์ของคุณได้มาก

น่าเสียดาย หากแฮ็กเกอร์ทราบคำนำหน้าฐานข้อมูลของคุณ พวกเขาสามารถใช้คำนำหน้าดังกล่าวเพื่อโจมตีไซต์ของคุณได้โดยไม่ต้องเข้าถึงด้วยตนเอง

เว็บไซต์ WordPress ทั้งหมดได้รับการออกแบบให้ใช้คำนำหน้า "wp" เป็นค่าเริ่มต้น ซึ่งเป็นสาเหตุว่าทำไมการเปลี่ยนคำนำหน้าจึงสำคัญมากเนื่องจากแฮกเกอร์คุ้นเคยกับคำนำหน้านี้อยู่แล้ว

โชคดีที่โฮสต์จำนวนมากเปลี่ยนคำนำหน้าเริ่มต้นของไซต์ของคุณโดยอัตโนมัติทันทีที่คุณสร้างไซต์ด้วย

คุณจะรู้ได้หากตารางฐานข้อมูลของคุณมีอย่างอื่นที่ไม่ใช่ “wp” ก่อนค่าขีดล่างแต่ละค่า เช่น “fx87_user” แทนที่จะเป็น “wp_user” ปกติ

จริงๆ แล้วถ้าไม่ทำก็ค่อนข้างง่าย ตราบใดที่คุณคุ้นเคยกับการเข้าถึงระบบไฟล์ของไซต์ของคุณ

เคล็ดลับนี้ต้องใช้ไฟล์ wp-config.php อีกครั้ง เช่นเดียวกับเมื่อก่อน เป็นความคิดที่ดีที่จะบันทึกไซต์ของคุณรวมทั้งสำเนาไฟล์ wp-config.php ของคุณก่อนที่จะทำการเปลี่ยนแปลง

ต่อไปนี้เป็นขั้นตอนในการเปลี่ยนคำนำหน้าฐานข้อมูล WordPress ของคุณ:

1. ดาวน์โหลดไฟล์ wp-config.php ของเว็บไซต์ของคุณ
2. เปิดไฟล์ในโปรแกรมแก้ไขข้อความธรรมดา
3. ค้นหาบรรทัดที่ระบุว่า “$table_prefix” หากทั้งบรรทัดเขียนว่า “$table_prefix = 'wp_'; คุณต้องเปลี่ยนมัน
4. เปลี่ยนคำนำหน้า “wp” เป็นตัวอักษรและตัวเลขสองถึงห้าตัวที่ผู้โจมตีคาดเดาได้ยาก
5. ตรวจสอบให้แน่ใจว่าคำนำหน้าใหม่ของคุณยังคงมีเครื่องหมายคำพูดและอัฒภาค ตัวอย่าง: $table_prefix = “fx87_';
6. บันทึกไฟล์ wp-config.php ของคุณ และอัปโหลดไปยังตำแหน่งเดียวกันในระบบไฟล์ของไซต์ของคุณ
7. เขียนทับไฟล์ wp-config.php ต้นฉบับเมื่อได้รับแจ้ง

13. รักษาความปลอดภัยไฟล์ wp-config.php ของคุณโดยการย้ายไฟล์

กลยุทธ์การโจมตีบางอย่างเกี่ยวข้องกับการแทรกโค้ดลงในไฟล์ wp-config.php ซึ่งผู้โจมตีจะต้องดาวน์โหลดก่อน

คุณสามารถทำให้แฮกเกอร์ค้นหาไฟล์ wp-config.php ของคุณได้ยากขึ้นมากโดยการย้ายไฟล์

WordPress ช่วยให้คุณสามารถย้ายไฟล์ wp-config.php ของคุณขึ้นไปหนึ่งไดเร็กทอรีโดยไม่ต้องทำอะไรอีก เว็บไซต์ของคุณจะยังสามารถเข้าถึงได้จากที่นั่น

อย่างไรก็ตาม เนื่องจากหนึ่งไดเรกทอรีที่อยู่ด้านบนอาจยังคงเป็นโฟลเดอร์สาธารณะ จึงควรย้ายออกไปไกลกว่านั้นเล็กน้อย

เคล็ดลับนี้ปฏิบัติตามได้ไม่ยาก แต่การเปลี่ยนแปลงที่ทำกับไซต์ของคุณค่อนข้างก้าวหน้า โดยเฉพาะอย่างยิ่งหากมีข้อผิดพลาดเกิดขึ้น ดังนั้นให้ดำเนินการต่อเมื่อคุณรู้ว่ากำลังทำอะไรอยู่เท่านั้น

ต่อไปนี้เป็นขั้นตอนในการย้ายไฟล์ wp-config.php ของคุณ:

1. ทำสำเนาไฟล์ wp-config.php ของคุณ และจัดเก็บไว้ในคอมพิวเตอร์ของคุณ
2. เข้าถึงระบบไฟล์ของเว็บไซต์ของคุณ และค้นหาโฟลเดอร์ที่มีโฟลเดอร์ public_html ของคุณ
3. สร้างโฟลเดอร์ใหม่ในไดเร็กทอรีนี้ และตั้งชื่อโฟลเดอร์ที่ไม่ได้ระบุว่าเป็นโฟลเดอร์ที่จะมีไฟล์ wp-config.php ของคุณ บางอย่างเช่น "bw-assets" ก็ใช้ได้ หมายเหตุ: อย่าใช้ bw-assets บนไซต์ของคุณเอง ใช้ของดั้งเดิมที่คุณคิดขึ้นมาเพื่อความปลอดภัยยิ่งขึ้น
4. ตั้งค่าระดับสิทธิ์ของโฟลเดอร์ใหม่เป็น 700
5. คัดลอกและวางไฟล์ wp-config.php ลงในโฟลเดอร์ที่สร้างขึ้นใหม่ และเปลี่ยนชื่อเป็นไฟล์ที่ไม่ได้ระบุว่าเป็นไฟล์ wp-config.php ของคุณ ขอย้ำอีกครั้งว่า "bw-asset.php" ก็ใช้ได้ดีเช่นกัน
6. เปลี่ยนระดับสิทธิ์ของไฟล์ใหม่นี้เป็น 600

แก้ไขไฟล์ wp-config.php ต้นฉบับของคุณ ลบโค้ดที่อยู่ภายใน และแทนที่ด้วยสิ่งนี้:

 <?php

รวม('/home/usr/bw-assets/bw-asset.php');

?>

เส้นทางของไฟล์ระหว่างเครื่องหมายคำพูดควรตรงกับเส้นทางไฟล์ที่แท้จริงของไซต์ของคุณ รวมถึงวิธีตั้งชื่อโฟลเดอร์และไฟล์ที่สร้างขึ้นใหม่

บันทึกไฟล์ในภายหลัง

14. เปลี่ยนชื่อหน้าเข้าสู่ระบบ WordPress

หน้าเข้าสู่ระบบ WordPress มีอยู่ที่ /wp-login.php และเส้นทาง URL ที่คล้ายกันตามค่าเริ่มต้น ดังนั้น หากคุณต้องการเข้าสู่ระบบเว็บไซต์ WordPress คุณเพียงไปที่ yourdomain.com/wp-login.php หรือ yourdomain.com/wp-admin

แฮกเกอร์คุ้นเคยกับสิ่งนี้เป็นอย่างดี เมื่อพวกเขาเข้าถึงแบบฟอร์มเข้าสู่ระบบของเว็บไซต์ของคุณ พวกเขาสามารถเริ่มต้นการโจมตีแบบดุร้ายเพื่อพยายามทำลายการป้องกันของคุณ

หวังว่าการป้องกันเหล่านั้นจะรวมถึงการจำกัดความพยายามในการเข้าสู่ระบบด้วยปลั๊กอินความปลอดภัยหรือแบบฟอร์ม CAPTCHA แต่คุณสามารถซ่อนหน้าเข้าสู่ระบบทั้งหมดได้

ใช้ปลั๊กอินเช่น WPS Hide Login เพื่อใช้คุณสมบัตินี้

ปลั๊กอินจะเพิ่มการตั้งค่าง่ายๆ ให้กับหน้าการตั้งค่าทั่วไปของ WordPress ซึ่งเป็นการตั้งค่าที่ช่วยให้คุณสามารถเปลี่ยน URL เข้าสู่ระบบได้โดยป้อน URL ที่คุณต้องการในช่องข้อความ

ใช้สิ่งที่ปลอดภัยซึ่งไม่ธรรมดาเพื่อให้แฮกเกอร์ไม่สามารถคาดเดาได้ง่าย อาจลองใช้คำผสมกันเพื่อให้ดูไร้สาระ เช่น “einsteinbananafrisbee”

เมื่อคุณทำการเปลี่ยนแปลงนี้ คุณจะไม่สามารถเข้าถึงหน้าเข้าสู่ระบบของคุณจาก wp-login.php หรือ URL ที่คล้ายกันได้อีกต่อไป คุณจะสามารถใช้ได้เฉพาะ yourdomain.com/einsteinbananafrisbee เท่านั้น ดังนั้นโปรดตรวจสอบให้แน่ใจว่าเป็นสิ่งที่คุณจำได้

15. ปิดการใช้งานการเรียกดูไดเรกทอรี

การเรียกดูไดเรกทอรีเป็นคุณลักษณะการออกแบบเว็บที่ช่วยให้ผู้ใช้สามารถป้อนไดเรกทอรีเป็น URL ในแถบที่อยู่และดูเนื้อหาของไดเรกทอรีนั้นได้

แฮกเกอร์ใช้สิ่งนี้เพื่อดูไดเร็กทอรีโดยไม่ต้องเข้าถึงไซต์ในทางที่เป็นอันตราย เมื่อทำเช่นนี้ พวกเขาสามารถระบุไฟล์และช่องโหว่ที่พวกเขาสามารถหาประโยชน์ได้

วิธีที่ดีที่สุดในการต่อสู้กับปัญหานี้คือการปิดการใช้งานการเรียกดูไดเรกทอรีทั้งหมด

เริ่มต้นด้วยการดูว่ามีการเปิดใช้การเรียกดูไดเรกทอรีสำหรับเว็บไซต์ของคุณหรือไม่ คุณสามารถบอกได้โดยไปที่ yourdomain.com/wp-includes หากคุณพบข้อผิดพลาด 403 Forbidden การเรียกดูไดเรกทอรีจะถูกปิดใช้งานอยู่แล้ว และคุณไม่จำเป็นต้องกังวล

อย่างไรก็ตาม หากคุณเห็นรายการไฟล์แทน คุณจะต้องปิดการใช้งานการเรียกดูไดเรกทอรีด้วยตนเอง

เริ่มต้นด้วยการเข้าถึงระบบไฟล์ของไซต์ของคุณและค้นหาไฟล์ .htaccess ของคุณ

เช่นเดียวกับที่คุณทำกับไฟล์ wp-config.php คุณควรสำรองข้อมูลไซต์ของคุณและสร้างสำเนา .htaccess ของคุณก่อนที่จะทำการเปลี่ยนแปลง

จากนั้น ให้ดาวน์โหลด เปิดในโปรแกรมแก้ไขข้อความธรรมดา และเพิ่มข้อมูลโค้ดนี้ที่ส่วนท้าย:

 ตัวเลือกทั้งหมด -ดัชนี 

บันทึกไฟล์และอัปโหลดใหม่ไปยังไซต์ WordPress ของคุณ โดยต้องแน่ใจว่าได้เขียนทับไฟล์ต้นฉบับ

16. ออกจากระบบผู้ใช้ที่ไม่ได้ใช้งาน

ผู้ดูแลระบบ บรรณาธิการ และผู้เขียนอาจคิดว่าพื้นที่ทำงานของตนมีความปลอดภัย แต่คุณไม่สามารถระมัดระวังมากเกินไปได้

หากผู้ดูแลระบบหรือบรรณาธิการเดินออกจากคอมพิวเตอร์ของตนในขณะที่ลงชื่อเข้าใช้ไซต์ของคุณ พวกเขาอาจทำให้ไซต์ของคุณเปิดช่องโหว่โดยไม่รู้ตัว โดยเฉพาะอย่างยิ่งหากไซต์ของคุณอยู่ในที่สาธารณะและคอมพิวเตอร์ของตนถูกขโมย

เพื่อต่อสู้กับปัญหานี้ เป็นความคิดที่ดีที่จะออกจากระบบผู้ใช้ที่ไม่ได้ใช้งาน ปลั๊กอินการออกจากระบบที่ไม่ใช้งานนำเสนอวิธีที่ง่ายที่สุดวิธีหนึ่งในการทำงานให้สำเร็จ

ปลั๊กอินช่วยให้คุณสามารถตั้งค่าการออกจากระบบอัตโนมัติตามการไม่มีการใช้งานตามระยะเวลาที่กำหนด

คุณยังสามารถตั้งค่าข้อความเตือนในกรณีที่ผู้ใช้อยู่ที่คอมพิวเตอร์จริงๆ เพียงแต่ไม่ได้โต้ตอบกับเว็บไซต์

มันเป็นปลั๊กอินที่ค่อนข้างเรียบง่ายและตรงไปตรงมาที่ให้คุณเพิ่มระดับความปลอดภัยของเว็บไซต์ WordPress ได้

ความคิดสุดท้ายและจะทำอย่างไรหากไซต์ของคุณถูกแฮ็ก

หากไซต์ของคุณถูกแฮ็ก คุณอาจเห็นสัญญาณเตือนต่อไปนี้บางส่วนในขณะที่พยายามโต้ตอบกับไซต์:

• ไม่สามารถเข้าสู่ระบบได้
• การเปลี่ยนแปลงส่วนหน้าที่คุณไม่ได้ทำ
• ทุกหน้าในเว็บไซต์ของคุณเปลี่ยนเส้นทางไปยังไซต์อื่นโดยสิ้นเชิง

นี่ไม่รวมคำเตือนที่คุณอาจได้รับจากโฮสต์หรือปลั๊กอินความปลอดภัยของคุณ

ไม่ว่าเกิดอะไรขึ้นกับไซต์ของคุณ ตอนนี้คุณก็รู้แล้วว่ากำลังประสบปัญหา ต่อไปนี้คือสิ่งที่ต้องทำเมื่อเกิดเหตุการณ์เช่นนี้

สิ่งแรกที่คุณควรทำคือทำให้ไซต์ของคุณอยู่ในโหมดการบำรุงรักษาด้วยปลั๊กอินโหมดการบำรุงรักษา

ปลั๊กอินโหมดเร็วๆ นี้และโหมดการบำรุงรักษาเป็นปลั๊กอินที่รู้จักกันดีซึ่งยอดเยี่ยมมากสำหรับจุดประสงค์นี้

ไซต์ที่ถูกแฮ็กทำให้ผู้ใช้ของคุณเสี่ยงต่อการถูกโจมตีเช่นกัน ดังนั้น ยิ่งคุณบล็อกการเข้าถึงไซต์ของคุณจากภายนอกได้เร็วเพียงใดในขณะที่ยังคงถูกบุกรุกก็ยิ่งดีเท่านั้น

เมื่อเว็บไซต์ของคุณออฟไลน์แล้ว ให้ทำตามขั้นตอนเหล่านี้เพื่อรักษาความปลอดภัย:

• เปลี่ยนรหัสผ่านสำหรับผู้ใช้ทุกคนบนไซต์ของคุณ โดยเฉพาะบัญชีผู้ดูแลระบบ
• ดูผู้ใช้ทั้งหมดบนไซต์ของคุณ และลบบัญชีผู้ดูแลระบบที่คุณไม่รู้จัก
• ติดตั้งการอัปเดต WordPress ในกรณีที่คุณพลาดการอัปเดตความปลอดภัยที่สำคัญสำหรับธีมหรือปลั๊กอินของบุคคลที่สาม
• ใช้ปลั๊กอินความปลอดภัยของคุณเพื่อสแกนหาและลบมัลแวร์ หากคุณใช้โฮสต์ เช่น WPX Hosting พวกเขาจะลบมัลแวร์ให้คุณ หากคุณติดตั้ง MalCare ปลั๊กอินควรจะสามารถลบออกให้คุณได้ มิฉะนั้นคุณอาจต้องใช้บริการภายนอก เช่น Sucuri ที่จะลบออกด้วยตนเอง
• สร้างแผนผังไซต์ของคุณใหม่ และส่งไซต์ของคุณไปยัง Google อีกครั้งผ่าน Google Search Console นี่เป็นในกรณีที่ไฟล์แผนผังไซต์ของคุณเสียหาย
• ติดตั้งแกน WordPress เวอร์ชันใหม่ทั้งหมด รวมถึงธีมและปลั๊กอินที่คุณมีบนเว็บไซต์ของคุณ
• ทำความสะอาดฐานข้อมูลของคุณด้วยปลั๊กอิน WordPress เช่น WP-Optimize
• ปิดใช้งานโหมดการบำรุงรักษาเมื่อไซต์ของคุณเสถียร
• ทำการตรวจสอบความปลอดภัยให้เสร็จสิ้นเพื่อระบุช่องโหว่ด้านความปลอดภัยที่อาจนำไปสู่การแฮ็ก

แม้ว่าการคืนค่าไซต์ของคุณจากข้อมูลสำรองอาจดูน่าสนใจ แต่คุณไม่ทราบว่าโค้ดที่เป็นอันตรายซ่อนอยู่ในเว็บไซต์ของคุณนานเท่าใด

ด้วยเหตุผลนี้ คุณไม่ควรหันไปใช้การสำรองข้อมูลเมื่อทำความสะอาดไซต์ที่ติดไวรัส

การเปิดเผยข้อมูล: เนื้อหาของเรารองรับผู้อ่าน หากคุณคลิกลิงก์บางลิงก์ เราอาจคิดค่าคอมมิชชั่น ซึ่งมีส่วนทำให้เกิดต้นทุนการดำเนินงานของตัวช่วยสร้างบล็อก การสนับสนุนของคุณได้รับการชื่นชมอย่างมาก